趙先生是長三角地區(qū)一家小有名氣的工程公司的經(jīng)理，9月23日他來到北京，不是為了任何工程的競標(biāo)，而是參加中國互聯(lián)網(wǎng)安全大會。他告訴《經(jīng)濟(jì)參考報》記者，作為一個“搞工程”的，他參加此次大會的目的只有一個——“為了不讓公司再中‘黑槍’”。
趙先生說，自己的公司工程質(zhì)量優(yōu)秀，而且價格合理，在長三角建筑圈內(nèi)已經(jīng)打出了一片天地，每年大大小小的工程競標(biāo)總能有所斬獲。但在過去半年內(nèi)，公司連續(xù)三次競標(biāo)都輸給了區(qū)域內(nèi)的同一家競爭對手。讓人奇怪的是，每次競爭對手，總能以略微低于自己公司的報價中標(biāo)�！熬秃孟裰牢覀兊牡准�(xì)一樣”，趙先生這樣說。
今年7月，趙先生的公司搬遷，在重組公司IT系統(tǒng)，進(jìn)行例行安全維護(hù)時，維護(hù)人員發(fā)現(xiàn)，早在一年前公司的IT系統(tǒng)就被黑客滲透，包括之前三次競標(biāo)標(biāo)書在內(nèi)的大量公司信息被竊取�！半m然不能證明是競爭對手所為，但這卻為我們拉響了‘紅色警報’”，趙先生這樣說。
在此次中國互聯(lián)網(wǎng)安全大會上，像趙先生這樣前來為公司的信息安全尋醫(yī)問藥的企業(yè)主不在少數(shù)。而在此次大會上，企業(yè)級信息安全也成為了眾多企業(yè)主、安全專家熱議的話題，眾多參會者，特別是曾遭遇“黑槍”的企業(yè)更是坦言，面對層出不窮的網(wǎng)絡(luò)攻擊，企業(yè)信息安全正在全面拉響紅色警報。
大型企業(yè)紛紛中招
據(jù)第三方調(diào)查機(jī)構(gòu)Gartner最新網(wǎng)絡(luò)安全報告顯示，目前在中國工商總局注冊的企業(yè)超過1100萬家，隨著社會信息化進(jìn)程的加速，信息化技術(shù)在這些企業(yè)運(yùn)營過程中的作用越來越重要，而企業(yè)信息化過程中所暴露的安全問題也越來越受到關(guān)注。敏感信息泄露、重要數(shù)據(jù)被破壞、業(yè)務(wù)系統(tǒng)被非法控制、商業(yè)信譽(yù)遭到惡意言論攻擊等行為，已經(jīng)成為企業(yè)正常經(jīng)營中存在的重大安全隱患。特別是利用互聯(lián)網(wǎng)進(jìn)行的網(wǎng)絡(luò)攻擊，輕則損害企業(yè)的經(jīng)濟(jì)利益，重則造成重大的社會影響，甚至危及國家安全。
值得注意的是，不僅僅是趙先生這樣的中小企業(yè)面臨著巨大的信息安全風(fēng)險，越來越多的大型企業(yè)也成了各類網(wǎng)絡(luò)攻擊的靶子，并且紛紛中招。
2012年6月，黑客組織Swagger Security發(fā)動攻擊，隨后宣布成功入侵了華納兄弟和中國電信的網(wǎng)絡(luò)，并將兩家公司的相關(guān)文件和安全證書公之于眾。對此，Swagger Security還調(diào)侃道：“對于他們來說，幸運(yùn)的是我們并沒有摧毀他們的基礎(chǔ)設(shè)施而讓千百萬用戶無法使用通訊服務(wù)”。
盡管Swagger Security和相關(guān)方并沒有公布此次網(wǎng)絡(luò)攻擊造成的損失，但部分安全專家認(rèn)為，從Swagger Security的表態(tài)看，他們似乎具有讓華納兄弟和中國電信的網(wǎng)絡(luò)徹底癱瘓的能力，不管事實是否如此，對于這兩家公司而言，重建一個安全可靠的網(wǎng)絡(luò)都將花費(fèi)天文數(shù)字，如果網(wǎng)絡(luò)癱瘓其后果令人不寒而栗。
美國媒體報道，2012年10月，匯豐銀行在全球多個地區(qū)的網(wǎng)站遭到黑客攻擊。其中，香港匯豐銀行網(wǎng)站上的個人理財客戶一度無法登錄。匯豐銀行在倫敦的總部隨后公告稱，旗下全球服務(wù)于香港時間2012年10月19日商務(wù)11時恢復(fù)，客戶的個人數(shù)據(jù)并沒有造成影響。同期，美國銀行、富國銀行等多家美國銀行相繼遭受到類似的黑客攻擊，網(wǎng)上理財服務(wù)均無法正常登錄。隨后，一個黑客組織宣布對攻擊事件負(fù)責(zé)。
對于上述攻擊行為，有互聯(lián)網(wǎng)安全專家告訴《經(jīng)濟(jì)參考報》記者，看似黑客沒有對這些銀行造成實質(zhì)性的損害，但可以想象的是，如果黑客的攻擊不僅針對這些銀行的理財服務(wù)，而是針對更多的普通用戶，一定會引起巨大的恐慌。
Gartner報告還指出，近年來披露出的針對大型企業(yè)的網(wǎng)絡(luò)攻擊案例顯示，一些企業(yè)開始越來越多地使用不法網(wǎng)絡(luò)攻擊來打擊自己的競爭對手，或者直接竊取對手的商業(yè)機(jī)密，以保持自身的競爭優(yōu)勢。
2012年2月Swagger Security宣布對蘋果的供應(yīng)商富士康進(jìn)行了網(wǎng)絡(luò)攻擊，隨后公布了大量富士康高層和富士康客戶的信息和密碼，其中包括富士康CEO郭臺銘的電子郵件和密碼。
Swagger Security宣稱，有了這些信息和密碼，就可以假冒微軟、蘋果、IBM、英特爾、戴爾等富士康的客戶名義向富士康下假訂單。多數(shù)安全專家認(rèn)為，一旦這些信息被別有用心的人所利用，將可能擾亂富士康的正常生產(chǎn)，并有可能迫使其客戶以“安全”為由，選擇其他的代工廠商。
在互聯(lián)網(wǎng)安全大會上，更有安全專家假設(shè)，如果有人掌握了郭臺銘的電子郵箱，就可以很輕松地了解富士康的生產(chǎn)細(xì)節(jié)和財務(wù)狀況，能夠在市場上精準(zhǔn)地對富士康的股票進(jìn)行買空賣空；或者通過了解蘋果、微軟等公司的產(chǎn)量，來進(jìn)行股票買賣進(jìn)而獲利。
新型攻擊防不勝防
讓多數(shù)企業(yè)頭疼的是，新型網(wǎng)絡(luò)攻擊不斷出現(xiàn)，企業(yè)更加防不勝防。此次會上，多位參會專家向《經(jīng)濟(jì)參考報》記者介紹，近年來出現(xiàn)的新型網(wǎng)絡(luò)攻擊APT(高級持續(xù)威脅，Advanced Persistent Threat)對大型企業(yè)，特別是銀行等金融機(jī)構(gòu)的針對性正在日益加強(qiáng)，對其造成的威脅也越來越大。
參會的金融界人士指出，和西方國家相比，我國銀行等金融機(jī)構(gòu)所采用的IT系統(tǒng)安全防護(hù)相對薄弱，但卻儲存有大量具有價值的金融信息，因此很有可能在未來成為APT集中攻擊的對象。
參加本次大會的360副總裁譚曉生向《經(jīng)濟(jì)參考報》記者介紹，所謂“APT”，是近年來興起的一種新型網(wǎng)絡(luò)攻擊方式，根據(jù)目前全球范圍內(nèi)披露的APT攻擊案例，銀行等金融機(jī)構(gòu)已經(jīng)成為其最主要的攻擊目標(biāo)，被攻擊案例次數(shù)僅次于各國政府部門被攻擊的次數(shù)。目前，包括韓國、瑞士等國的金融機(jī)構(gòu)均報告遭受APT攻擊，出現(xiàn)不同程度的金融信息泄露。
譚曉生介紹，APT一般會以惡意郵件、木馬等傳統(tǒng)網(wǎng)絡(luò)攻擊形式發(fā)起攻擊，一旦攻破金融機(jī)構(gòu)工作人員的電腦，將一步步滲透進(jìn)金融機(jī)構(gòu)IT系統(tǒng)的核心，竊取金融機(jī)構(gòu)最具價值的金融信息，甚至對其IT系統(tǒng)進(jìn)行控制。這一過程一般較為緩慢，可以持續(xù)3到5年，因此發(fā)現(xiàn)和預(yù)防都十分困難，對金融機(jī)構(gòu)造成的損失也難以估量。
2013年3月20日，韓國爆發(fā)大規(guī)模APT攻擊，此前潛伏在多家韓國金融機(jī)構(gòu)中的病毒突然爆發(fā)，致使多家銀行的內(nèi)網(wǎng)電腦黑屏、網(wǎng)絡(luò)凍結(jié)，信息系統(tǒng)幾乎癱瘓，等到業(yè)務(wù)完全恢復(fù)，已經(jīng)是四五天之后。事后，有網(wǎng)絡(luò)安全人士在調(diào)查后發(fā)現(xiàn)，多種跡象表明此次發(fā)起APT攻擊的病毒，至少在半年前就已通過各種渠道，潛伏在被攻擊的銀行中，這說明攻擊者早就瞄準(zhǔn)了攻擊對象，并策劃了周密的攻擊計劃。
盡管韓國媒體稱，這次大規(guī)模攻擊并沒有給韓國銀行造成太大損失，但據(jù)參會的互聯(lián)網(wǎng)安全領(lǐng)域?qū)＜医榻B，“至少遭到攻擊的韓國銀行的IT系統(tǒng)已不再安全，為了確保金融信息安全，需要更新所有系統(tǒng)，包括基層員工的電腦，甚至手機(jī)。每一家銀行付出的花費(fèi)將是10億美元級別。而在更新系統(tǒng)期間，銀行儲戶的錢還有被‘偷’的危險”。
趨勢科技(中國區(qū))網(wǎng)絡(luò)安全監(jiān)測實驗室報告顯示，2013年已偵測到針對國內(nèi)金融機(jī)構(gòu)的APT攻擊，并發(fā)現(xiàn)了被命名為“證券幽靈”的惡意病毒。該威脅極具“智能”，針對金融行業(yè)IT管理人員和網(wǎng)絡(luò)服務(wù)節(jié)點(diǎn)服務(wù)器進(jìn)行攻擊，并尋找金融機(jī)構(gòu)的系統(tǒng)漏洞進(jìn)行全網(wǎng)控制。一旦將金融機(jī)構(gòu)的內(nèi)部網(wǎng)絡(luò)控制，病毒的非法行為將被視為正常通信和授權(quán)操作，其后續(xù)可能造成的金融信息泄露危害不可估量。一旦全面觸發(fā)，金融用戶將面臨歷史上從未遭遇過的沉重打擊。
中字頭銀行參會人士告訴《經(jīng)濟(jì)參考報》記者，目前國內(nèi)銀行IT系統(tǒng)的安全性不容樂觀，盡管目前尚未出現(xiàn)被攻擊的案例，但由于儲存有大量金融信息，在未來很有可能遭受大量APT攻擊。特別是今年已經(jīng)檢測到針對金融機(jī)構(gòu)的APT攻擊案例，這意味著包括銀行在內(nèi)的國內(nèi)金融機(jī)構(gòu)，正在進(jìn)入被攻擊的高危階段。
企業(yè)急建“防火墻”
面對巨大的信息安全風(fēng)險，多數(shù)企業(yè)已經(jīng)意識到了其可能帶來的巨大損失，正在開始積極建立各自的網(wǎng)絡(luò)安全“防火墻”。
太平洋保險集團(tuán)(以下簡稱“太�！�)首席信息安全管理專家張軍介紹，從2012年統(tǒng)計報告來看，造成安全事件的應(yīng)用漏洞占了總體漏洞的88.7%，全球平均下150天以上受漏洞影響企業(yè)占55%，其中教育、通訊、金融和保險等行業(yè)影響較大。這些數(shù)據(jù)已經(jīng)給國內(nèi)企業(yè)拉響了企業(yè)信息安全的紅色警報。包括太平洋保險在內(nèi)的很多大型企業(yè)，對企業(yè)信息安全越來越重視，并做出了實質(zhì)性的安全防護(hù)。
張軍介紹，太平洋保險很早就制訂了應(yīng)用安全方面的標(biāo)準(zhǔn)和規(guī)范，并開始實施系統(tǒng)上線的黑客的掃描，同時部署了主動防護(hù)系統(tǒng)。在運(yùn)維階段，太保對電商的應(yīng)用進(jìn)行定期檢查，發(fā)現(xiàn)問題立刻納入了公司漏洞管理和缺陷管理進(jìn)行分析和跟蹤；在治理方面，太保形成了較為完善的IT治理架構(gòu)，2012年成立了集團(tuán)IT中心下設(shè)五個功能領(lǐng)域來防范各類信息安全問題；在安全驗證方面，主要由安全部和測試部共同實施，采用自動和人工兩種方法進(jìn)行安全驗證，一是對漏洞進(jìn)行掃描，及時發(fā)現(xiàn)漏洞和跨站等問題。二是利用手工驗證方式進(jìn)行功能驗證，發(fā)現(xiàn)一些異常處理權(quán)限控制、文件管理和匯報管理等，與一些不符合設(shè)計要求的地方。并對漏洞進(jìn)行及時封堵。
事實上，像太保這樣具有自建企業(yè)信息安全防護(hù)體系的企業(yè)并不多，多數(shù)企業(yè)仍需要網(wǎng)絡(luò)安全公司提供相應(yīng)的服務(wù)。而目前隨著企業(yè)對信息安全需求的日益加大，國內(nèi)主流安全廠商正在積極開發(fā)新一代的企業(yè)級信息安全“防火墻”。
360CEO周鴻祎介紹，目前360已經(jīng)完成了對國內(nèi)多家有實力的中小互聯(lián)網(wǎng)安全廠商的收購，并針對企業(yè)需要推出了多款企業(yè)級安全產(chǎn)品和服務(wù)。未來360還將聯(lián)合其他業(yè)內(nèi)企業(yè)，共同為國內(nèi)企業(yè)提供可靠的安全服務(wù)。在本次大會上，360公布了正在研發(fā)的企業(yè)級安全服務(wù)“天眼”，可以把企業(yè)的各類流量關(guān)進(jìn)“沙箱”中運(yùn)行，層層分析后再將安全流量導(dǎo)出，防止未知程序?qū)ζ髽I(yè)IT系統(tǒng)進(jìn)行破壞。目前，類似的產(chǎn)品已在美國等國家被大量使用，而360的“天眼”已經(jīng)通過國家權(quán)威部門的測試，將很快服務(wù)于企業(yè)級用戶。
網(wǎng)康CEO袁沈鋼和綠盟科技副總裁吳云坤則在大會上透露，網(wǎng)康和綠盟科技已經(jīng)研發(fā)出新一代防火墻產(chǎn)品。新一代防火墻不但能夠幫助企業(yè)預(yù)防傳統(tǒng)網(wǎng)絡(luò)攻擊，還能有效地預(yù)防新型網(wǎng)絡(luò)攻擊對企業(yè)IT系統(tǒng)造成侵害。更重要的是，下一代防火墻產(chǎn)品可以根據(jù)用戶的特定需要進(jìn)行定制，將極大地增強(qiáng)用戶的網(wǎng)絡(luò)和信息安全。
多位參會專家表示，隨著APT等新型網(wǎng)絡(luò)攻擊的出現(xiàn)，企業(yè)對自身信息安全的需求會越來越大。Gartner報告顯示，我國企業(yè)級安全需求巨大，在國家工商總局注冊的超過1100萬家企業(yè)中，絕大多數(shù)企業(yè)已接入互聯(lián)網(wǎng)，但卻缺少安全可靠的IT系統(tǒng)。會上，有互聯(lián)網(wǎng)安全廠商負(fù)責(zé)人表示，根據(jù)歐等國家的經(jīng)驗，在未來兩三年內(nèi)，國內(nèi)企業(yè)的信息安全意識將快速覺醒，多數(shù)大中型企業(yè)會開始建立專門的信息安全體系，以及與之配套的防護(hù)措施。